☰

공유 SAMBA 서버에 대한 Cryptolocker의 제어 용이화

tag-icon • tag-icon backup samba
공유 SAMBA 서버에 대한 Cryptolocker의 제어 용이화

내 고객 중 한 명이 최근 Cryptolocker의 매우 새로운 변종을 발견했습니다. 안타깝게도 손상된 사용자는 시스템에 대한 높은 수준의 액세스 권한을 갖고 있었습니다. 분명히 일부 사람들을 교육하지 않습니다.

각 파일을 작성하는 동안(그러나 이전에) 각 파일의 복사본을 만들고(예: SSD에) 하룻밤 동안 해당 파일을 삭제할 수 있다면 피해가 완화될 것이라는 생각이 들었습니다. 하지만 잘 모르겠습니다. 이것을하는 방법.

사용자 액세스 제한이나 AV에 의존하지 않고 Cryptolocker를 완화하기 위해 Linux SAMBA 서버에서 수행할 수 있는 기술 단계를 아는 사람이 있습니까? (우리의 안티 바이러스 소프트웨어는 사용자가 공격을 받기 몇 시간 전에 위협이 나타났기 때문에 이를 탐지하지 못했습니다.)

데이터를 논리 볼륨에 저장하고 정기적으로 스냅샷을 찍는 것에 대해 생각해 보았지만 스냅샷이 성능에 큰 영향을 미칠 수 있다는 것을 알고 있으므로 이를 피하고 싶습니다.

답변1

저는 이러한 불쾌한 동글 변종 중 하나에 걸린 적이 없지만 파일 백업이 없다면 스냅샷이나 다른 방법을 통해 백업하는 것이 유일한 보호 방법입니다.

또한 스냅샷이 성능을 저하시킨다고 말한 사람은 전적으로 사실이 아닙니다. 예, 스냅샷을 생성하려면 일부 리소스가 필요하지만 스냅샷 볼륨의 크기에 따라 크기가 너무 작아 무시할 수 있을 수도 있습니다. 데이터의 크기와 성격을 모르면 판단하기가 어렵습니다. 하지만 Cryptolocker가 히트하거나 다시 히트할 경우를 대비하여 이러한 파일을 백업할 수 있는 방법이 있어야 합니다.

답변2

LVM 스냅샷이 작동하지 않으면 맬웨어가 쓸 수 없는 위치에 기록된 정기적(아마도 빈번한) 백업을 살펴보는 것이 좋습니다. 그런 다음 백업이 수행될 수 있을 만큼 오랫동안 LVM 스냅샷을 활성 상태로 유지하면 됩니다.

이것이 Duplicity, borg-backup, rsync, rdiff-backup 또는 rsnapshot을 사용하거나, 외부 USB 드라이브에 쓰거나, 반대편 서버에 SSHing을 사용하는 것을 의미하는지 여부는 귀하에게 달려 있습니다.

개인적으로 나는 다음과 같은 이유로 borg-backup을 선호합니다.

  • 가변 크기 블록의 중복 제거
  • 압축
  • SSH를 통해 잘 작동합니다.
  • 백업 서버에 최소 개수의 파일 생성
  • 초기 백업 후 매우 빠름

Borg는 델타 생성 속도가 충분히 빠르므로 소스 파일 시스템의 LVM 스냅샷을 생성하고 Borg를 사용하여 백업한 다음 LVM 스냅샷을 삭제하는 것을 고려해 보겠습니다. 백업되는 데이터 및 파일의 양에 따라 스냅샷은 매시간 1~2분 미만 동안 활성화될 수 있습니다.

일화: rdiff-backup을 사용하여 100GB MailDir 기반 메일 서버를 백업하는 데 하루 4~6시간이 걸렸으며 대상 파일 시스템에 많은 수의 작은 파일이 생성되었습니다. Attic(Borg의 전신)을 사용하면 이 작업이 15~20분 정도 소요되며 대상 파일 시스템에 수백 개의 파일만 생성됩니다. 따라서 대상 디렉터리에 생성된 엄청난 수의 파일로 인해 더 이상 rsync 기반 백업을 선호하지 않습니다.

링크:

답변3

스냅샷에 관한 한 우리는 아마도 훨씬 더 저렴한 스냅샷을 허용하는 ZFS로 이동할 것입니다.

또한 각 공유에 다음 줄을 추가했습니다. samba-vfs를 설치하고 삭제된 파일을 백업하면 일부 Cryptolocker 변종에 대해 어느 정도 보호 기능을 제공할 수 있다고 생각합니다.

    vfs objects = recycle
    recycle:repository = .recycle
    recycle:keeptree = yes
    recycle:versions = yes

나도 하나 찾았어우편 엽서위협을 완화하기 위해 전체 감사를 켜고, 크립토락커 이름 바꾸기에 사용되는 공통 확장자를 찾기 위해 fall2ban을 사용하는 것을 포함하여 추가 완화가 필요합니다.

관련 정보